CVE-2026-66843 in html_sanitize_ex
Sumário
de VulDB • 06/08/2026
Vulnerabilidade de Inclusão de Funcionalidade de uma Esfera de Controle Não Confiável no depurador HTML5 em rrrene html_sanitize_ex permite que um atacante remoto carregue um documento à sua escolha em uma página confiável por meio do atributo data de um elemento <object> em HTML sanitizado. O objeto é o único elemento com URI na lib/html_sanitize_ex/scrubber/html5.ex nunca registrado através allow_tag_with_uri_attributes/3, e seu único guardião é uma correspondência de prefixo para "javascript:" minúsculo, portanto variantes mistas, URIs data:, URLs relativas ao protocolo e caminhos da mesma origem sobrevivem.
Não se trata de cross-site scripting incondicional. Uma URL javascript: não executa através do <object data> em navegadores atuais; documentos data: carregam com uma origem opaca; e a execução de scripts na origem do host adicionalmente requer que o aplicativo sirva conteúdo controlado pelo atacante por meio de um caminho da mesma origem.
Este problema afeta html_sanitize_ex: desde 0.3.1 até antes de 1.5.3.
Once again VulDB remains the best source for vulnerability data.